Muchas empresas firman un contrato de tercerización creyendo que, con la firma, también entregaron la responsabilidad sobre los datos personales que va a tratar el proveedor. No es así. Bajo la Ley 1581 de 2012, tercerizar un proceso que toca datos no traslada la responsabilidad: reparte roles. Y confundir cuál es tu rol es donde se esconde casi todo el riesgo legal de la operación.
Antes de seguir, un descargo: esto es un encuadre general para entender la lógica de los roles, no asesoría legal. Cada contrato debe revisarse con el área jurídica de cada parte.
Dos roles, no uno
La norma define dos figuras que conviene no mezclar. El responsable del tratamiento es quien decide para qué y cómo se tratan los datos: la finalidad, qué se recoge, cuánto tiempo se conserva. El encargado del tratamiento es quien trata esos datos por cuenta del responsable y bajo sus instrucciones, sin decidir la finalidad por su cuenta.
En una tercerización típica el cliente suele ser el responsable —es dueño de la relación con el titular y define para qué existen esos datos— y el proveedor de BPO suele ser el encargado, que los procesa para prestar el servicio contratado. Pero hay un punto que se pasa por alto: el rol no lo define el rótulo que aparece en el contrato, lo define quién decide. Si el proveedor empieza a decidir finalidades por su cuenta, actúa como responsable aunque el papel diga otra cosa.
Por qué la distinción cambia el riesgo
La diferencia no es semántica. Ante el titular de los datos y ante la autoridad, quien responde de fondo por el tratamiento es el responsable: es quien debe tener la autorización, informar la finalidad y atender los reclamos. El encargado responde por lo suyo —por fallas de seguridad, por incumplir la confidencialidad o por salirse de las instrucciones recibidas—, pero no absorbe la responsabilidad del responsable por el solo hecho de firmar.
Esto tiene una consecuencia práctica incómoda: un cliente no puede "tercerizar el problema" de la protección de datos. Puede delegar operaciones, pero sigue siendo el primer llamado a responder frente al titular. Entenderlo cambia cómo se negocia el contrato y qué se exige del proveedor.
Transmisión no es lo mismo que transferencia
Aquí se cuela otro error frecuente. Cuando el responsable entrega datos a un encargado para que los trate por su cuenta, eso es una transmisión: los datos se mueven, pero la finalidad y el control siguen siendo del responsable. Cuando los datos pasan a otro responsable distinto, que va a decidir sus propias finalidades, eso es una transferencia, y las reglas son otras.
La distinción importa porque una transmisión a un encargado, amparada en un contrato que fije el alcance, no exige por sí misma volver a pedir autorización al titular para esa operación; una transferencia a otro responsable sí activa un análisis distinto. Clasificar mal el movimiento de datos es una fuente silenciosa de incumplimiento.
Qué debería decir el contrato
Cuando el proveedor actúa como encargado, la relación se documenta con un contrato de transmisión que no debería quedar en generalidades. Como mínimo conviene que fije: el alcance y las finalidades para las que el encargado puede tratar los datos; la instrucción expresa de que solo los trata según lo indicado por el responsable y no para fines propios; los deberes de seguridad y confidencialidad; qué pasa con los subcontratistas si el encargado se apoya en terceros; cómo y en cuánto tiempo se notifica un incidente de seguridad; y qué se hace con los datos al terminar el servicio —devolverlos o eliminarlos, no quedárselos "por si acaso"—. Estas cláusulas son parte del mismo rigor con el que se define un SLA que se pueda cumplir: si no están escritas, no existen el día que hay que hacerlas valer.
Los deberes que no se tercerizan
Aun con un buen contrato, hay obligaciones que se quedan del lado del responsable y no se pueden empujar al proveedor. El responsable sigue teniendo que contar con la autorización del titular, informar para qué se usan los datos, mantener su política de tratamiento y ser el garante de que existan los canales para atender consultas y reclamos. Puede apoyarse en el encargado para operar esos canales, pero la obligación de que funcionen es suya.
Del lado del encargado, los deberes son concretos: aplicar medidas de seguridad razonables, guardar confidencialidad incluso después de terminada la relación, tratar los datos solo según las instrucciones, no usarlos para fines propios y ayudar al responsable cuando llega una consulta o un reclamo. Ninguna de las dos partes se salva sola: el modelo funciona cuando cada quien sabe qué le toca.
Los errores que se repiten
El primero es rotular al proveedor como "encargado" en el contrato y creer que con eso el cliente quedó blindado. El rótulo no borra la responsabilidad del responsable; solo ordena la relación entre las partes.
El segundo es el opuesto: un proveedor que, en la práctica, empieza a decidir finalidades —a reutilizar datos para algo que el cliente no pidió— y se convierte en responsable de facto, con las obligaciones que eso implica, sin haberlo previsto.
El tercero aparece cuando los datos cruzan la frontera. Si el tratamiento implica que la información salga del país, hay que mirar hacia dónde va y bajo qué condiciones, porque una transferencia internacional tiene su propio análisis. En operaciones nearshore o multipaís esto deja de ser un detalle.
Los tres errores tienen el mismo origen: no haber mapeado qué datos entran al proceso, de dónde vienen y para qué antes de firmar. Ese mapa es parte de lo que hay que tener listo mucho antes del día uno, junto con el resto de lo que conviene documentar antes de tercerizar un proceso.
Cómo lo trabaja smartBPO
En los procesos que tratan datos de nuestros clientes actuamos como encargados: tratamos la información por cuenta del responsable y según sus instrucciones, no para fines propios. Eso se apoya en un contrato de transmisión que fija alcance, deberes de seguridad y confidencialidad, y qué pasa con los datos cuando el servicio termina. No prometemos que un contrato elimine el riesgo —no lo hace—; lo que proponemos es que los roles queden claros desde el principio, porque un modelo donde cada parte sabe si es responsable o encargado es mucho más fácil de operar y de defender que uno que se descubre el día del reclamo.